VULNERABILIDAD
CVE-2026-52903 Deserialización insegura en ManageIQ por fallback de YAML.safe_load a unsafe_load
El módulo YamlLoadAliases de ManageIQ sobrescribe YAML.safe_load para recurrir silenciosamente a YAML.unsafe_load en producción ante un error Psych::DisallowedClass. Un atacante autenticado con acceso a importación de diálogos puede lograr ejecución remota de código subiendo un payload YAML manipulado que deserializa objetos Ruby arbitrarios. Red Hat CloudForms está en fin de vida y no habrá parches.
Alerta de Nureq Monitor
Detectada 12 OCT · 10:48
CVSS 3.1
8.8ALTAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,4 % PERCENTIL 38
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-52903
El módulo YamlLoadAliases de ManageIQ sobrescribe YAML.safe_load para recurrir silenciosamente a YAML.unsafe_load en producción ante un error Psych::DisallowedClass. Un atacante autenticado con acceso a importación de diálogos puede lograr ejecución remota de código subiendo un payload YAML manipulado que deserializa objetos Ruby arbitrarios. Red Hat CloudForms está en fin de vida y no habrá parches.
Productos y versiones afectadas
ManageIQ
Red Hat Red Hat CloudForms
Qué hacer
- Verificá si usás ManageIQ y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 8.8 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Alta
- INTEGRIDAD (I)
- Alta
- DISPONIBILIDAD (A)
- Alta
Abrir la calculadora completa →
Descripción original
A deserialization of untrusted data vulnerability was found in ManageIQ. The YamlLoadAliases module overrides YAML.safe_load to silently fall back to YAML.unsafe_load in production when a Psych::DisallowedClass error occurs. An authenticated attacker with dialog import access can exploit this to achieve remote code execution by uploading a crafted YAML payload that triggers the fallback and deserializes arbitrary Ruby objects.
Red Hat CloudForms, which was based on ManageIQ, has reached End of Life and is no longer supported. No errata or patches will be issued. This CVE is being assigned for the benefit of the ManageIQ community and downstream consumers.
Referencias
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.